Издаване на пакетен филтър nftables 0.9.1

След година разработка представен релийз на пакетния филтър nftables 0.9.1, развиващ се като заместител на iptables, ip6tables, arptables и ebtables, чрез унифициране на интерфейсите за филтриране на пакети за IPv4, IPv6, ARP и мрежови моста. Пакетът nftables включва компоненти на пакетния филтър, които работят в пространството на потребителя, докато на ниво ядро работата се осигурява от подсистемата nf_tables, която е част от ядрото на Linux от версия 3.13.

На ниво ядро се предоставя само общ интерфейс, независещ от конкретния протокол и предлагаш базови функции за извличане на данни от пакети, изпълнение на операции с данни и управление на потока.
Логиката за филтриране и специфичните за протоколите обработвачи се компилират в байткод в пространството на потребителя, след което този байткод се зарежда в ядрото с помощта на интерфейса Netlink и се изпълнява в специална виртуална машина, наподобяваща BPF (Berkeley Packet Filters). Този подход позволява значително да се намали размерът на кода за филтриране, работещ на ниво ядро, и да се изнесат всички функции по парсинг на правила и логиката за работа с протоколи в пространството на потребителя.

Основни нововъведения:

• Поддръжка на IPsec, която позволява извършване на съпоставяне на адреси на тунели, свързано с пакета, идентификатора на заявката за IPsec и таг SPI (Security Parameter Index). Например,

  … ipsec in ip saddr 192.168.1.0/24
  … ipsec in spi 1-65536

  Също така е възможна проверка на маршрута през тунела IPsec. Например, за блокиране на трафик, който не минава през IPSec:

  … filter output rt ipsec missing drop

• Поддръжка на протокола IGMP (Internet Group Management Protocol). Например, за отхвърляне на входящи IGMP заявки за членство в група може да се използва правило

  nft add rule netdev foo bar igmp type membership-query counter drop

• Възможност за използване на променливи за определяне на вериги за преминаване (jump / goto). Например:

  define dest = ber
  add rule ip foo bar jump $dest

• Поддръжка на маски за идентифициране на операционни системи (OS Fingerprint) на база на стойности TTL в заглавката. Например, за маркиране на пакети в зависимост от операционната система на изпращача може да се използва командата:

  … meta mark set osf ttl skip name map { "Linux" : 0x1,
  "Windows" : 0x2,
  "MacOS" : 0x3,
  "unknown" : 0x0 }
  … osf ttl skip version "Linux:4.20"

• Възможност за съпоставяне на ARP адреса на изпращача и IPv4 адреса на целевата система. Например, за увеличаване на брояча на ARP пакети, изпратени от адрес 192.168.2.1, може да се използва правило:

  table arp x {
  chain y {
  тип филтър хук вход приоритет филтър; политика приеми;
  arp saddr ip 192.168.2.1 брояч пакети 1 байтове 46
  }
  }

• Поддръжка на прозрачно пренасочване на заявки чрез прокси (tproxy). Например, за пренасочване на заявки от порт 80 към порт на прокси 8080:

  таблица ip x {
  chain y {
  тип филтър хук пренасочване приоритет -150; политика приеми;
  tcp dport 80 tproxy до :8080
  }
  }

• Поддръжка на маркиране на сокети с възможност за последващо получаване на зададената марка чрез setsockopt() в режим SO_MARK. Например:

  таблица inet x {
  chain y {
  тип филтър хук пренасочване приоритет -150; политика приеми;
  tcp dport 8080 марка задаване сокет марка
  }
  }

• Поддръжка на указване на текстови наименования приоритети за вериги. Например:

  nft добави верига ip x raw { тип филтър хук пренасочване приоритет raw; }
  nft добави верига ip x filter { тип филтър хук пренасочване приоритет филтър; }
  nft добави верига ip x filter_later { тип филтър хук пренасочване приоритет филтър + 10; }

• Поддръжка на тагове SELinux (Secmark). Например, за определяне на тага „sshtag“ в обвързване с контекста SELinux може да стартирате:

  nft добави secmark inet filter sshtag „system_u:object_r:ssh_server_packet_t:s0“

  А след това да използвате този таг в правилата:

  nft добави правило inet filter input tcp dport 22 meta secmark set „sshtag“

  nft добави карта inet filter secmapping { тип inet_service : secmark; }
  nft добави елемент inet filter secmapping { 22 : „sshtag“ }
  nft добави правило inet filter input meta secmark set tcp dport карта @secmapping

• Възможност за указване на задължителни за протоколите портове в текстов вид, както са определени в файла /etc/services. Например:

  nft добави правило x y tcp dport „ssh“
  nft списък правила -l
  таблица x {
  chain y {
  …
  tcp dport „ssh“
  }
  }

• Възможност за проверка на типа мрежов интерфейс. Например:

  добави правило inet raw пренасочване meta iifkind „vrf“ приеми

• Подобрена поддръжка на динамично обновление на съдържанието на набори (sets) чрез явно указание на флага „dynamic“. Например, за обновяване на набора „s“ с добавяне на изходящ адрес и нулиране на записа в случай на отсъствие на пакети в продължение на 30 секунди:

  добави таблица x
  добави набор x s { тип ipv4_addr; размер 128; време за изчакване 30s; флагове динамични; }
  добави верига x y { тип филтър хук вход приоритет 0; }
  добави правило x y актуализирай @s { ip saddr }

• Възможност за задаване на отделно условие за възникване на време за изчакване. Например, за пренасочване на времето за изчакване по подразбиране за пакети, пристигнали на порт 8888, можете да укажете:

  таблица ip filter {
  ct време за изчакване агресивен-tcp {
  протокол tcp;
  l3proto ip;
  политика = {установен: 100, close_wait: 4, close: 4}
  }
  верига output {
  …
  tcp dport 8888 ct време за изчакване задаване „агресивен-tcp“
  }
  }

• Поддръжка на NAT за семейството inet:

  таблица inet nat {
  …
  ip6 daddr dead::2::1 dnat до dead:2::99
  }

• Подобрени средства за извеждане на информация за грешки поради правописни грешки:

  nft добави верига filtre test

  Грешка: Няма такъв файл или директория; имали сте предвид таблица „filter“ в семейство ip?
  добави верига filtre test
  ^^^^^^

• Възможност за указване на имена на интерфейси в набори (sets):

  набор sc {
  тип inet_service . ifname
  елементи = { „ssh“ . „eth0“ }
  }

• Обновен синтаксис на правилата flowtable:

  nft добави таблица x
  nft добави flowtable x ft { хук вход приоритет 0; устройства = { eth0, wlan0 }; }
  …
  nft добави правило x напред ip протокол { tcp, udp } поток добави @ft

• Подобрена поддръжка на JSON.

Източник: opennet.ru